„Влязох в имейла на главния изпълнителен директор, като клонирах гласа му, обадих се на сървис деска и поисках ресет на паролата.“

Това не е сценарий от футуристичен трилър, а реален случай от работата на физически пенетратор – експерт, нает да тества доколко една организация е подготвена срещу пробиви, комбиниращи човешки фактор, технологии и доверие. Гласът на CEO-то? Публично достъпен – петминутно промоционално видео в YouTube.

От него са били достатъчни няколко секунди аудио, за да се създаде убедителен гласов двойник, който безпроблемно преминава през процедурите за идентификация.

ИИ не хаква системи – хаква хора

В този случай не е експлоатирана софтуерна уязвимост. Не е използван zero-day. Експлоатирано е доверието.

Пенетраторът описва процеса като изненадващо лесен:

• взема се аудио проба;

• използва се легитимен инструмент за гласов синтез (в случая ElevenLabs);

• текстът може да бъде:

  • изписан ръчно, или

  • генериран чрез ChatGPT;

• гласът „говори“ вместо човека.

„Просто подаваш prompt – ‘Опитвам се да си ресетна паролата’ – и моделът отговаря вместо теб, но с гласа на жертвата.“

Резултатът? Успешен ресет на парола и пълен достъп до корпоративна поща.

10 секунди звук са достатъчни – останалото е качество

Според експерта:

• около 10 секунди аудио са достатъчни за „приличен“ клон;

• колкото повече материал – толкова по-реалистичен резултат;

• публичните източници (видеа, интервюта, подкасти) са златна мина.

Това превръща публичното присъствие на ръководители в нов, често подценяван, рисков фактор за организациите.

Комбиниране на ИИ с физически пробиви – следващото ниво

Най-сериозната тенденция според пенетраторa не е самото клониране на глас, а наслояването му с физически атаки.

Той споделя, че вече използва дори масови чатботове, за да:

• тества идеи за проникване;

• симулира сценарии;

• провери къде планът му е слаб.

Интересното е, че дори когато ИИ „отказва“ директна помощ, той често:

• предлага заобиколни варианти;

• дава „хипотетични“ съвети;

• намира собствен път около ограниченията.

„Понякога дори не е нужно да го караш да ти помага – той сам намира начин.“

В същото време експертът е напълно наясно, че в дарк уеб пространството вече съществуват чатботове без защитни механизми, способни да:

• проектират зловреден код;

• подпомагат реални атаки.

ИИ заплахата – реална, но често преувеличавана (засега)

Въпреки всичко, той смята, че индустрията понякога преувеличава текущата роля на ИИ в престъпленията.

„Престъпниците експериментират. Голямата промяна тепърва идва.“

Според него в рамките на няколко години:

• фалшива видео среща ще бъде напълно неразличима от истинска;

• човек може да разговаря с „някого“, без да има какъвто и да е сигурен индикатор за автентичност.

Той посочва пускането на Sora 2 и вълната от реалистични фалшиви видеа, които вече масово заблуждават хората в социалните мрежи.

„И най-лошото? Хората им вярват.“

Защо стандартните кибер обучения не работят

Една от най-силните критики е насочена към корпоративните обучения по киберсигурност.

Според пенетраторa:

• те са се превърнали в отметка за съответствие;

• скучни, формални и бързо забравяни;

• не оставят емоционален отпечатък.

Затова той:

• заснема реални пробиви с HD камери, скрити в очила или вратовръзки;

• показва записите на служителите;

• изправя ги пред собствените им грешки.

„Това съм аз – пускам непознат. Това е моето бюро.“

Такъв тип обучение:

• плаши;

• ангажира;

• остава в паметта с години, а не с минути.

Социалното инженерство – просто, евтино и ефективно

В документален филм за кибер войната експертът показва класически пример:

• проверява социалните мрежи на служителка;

• вижда снимка от почивка пред хотел;

• разпознава локацията и брандинга;

• изпраща имейл, преструвайки се на хотелски мениджър;

• предлага „забравени вещи“.

Едно кликване върху изображението и зловредният код е изтеглен.

Целта, по думите му, е хората да разберат колко елементарен може да бъде целият процес.

Физическите пробиви – без ИИ, но с човешка доброта

Изненадващо, ИИ почти не играе роля при физическите прониквания.

От над 200 прониквания в сгради, той е срещал:

• лицево разпознаване – само веднъж;

• биометрия – изключение, не правило.

Причината е проста – такива системи:

• забавят потока от хора;

• създават неудобство;

• често се заобикалят в името на „ефективността“.

Най-успешните техники остават класически:

• фалшив служебен бадж;

• „tailgating“ с две кафета в ръка;

• преструвка на доставчик, инспектор или чистач.

„Хората искат да бъдат мили. Искат да помогнат.“

Роля, костюм и увереност – психологията на пробива

Пенетраторът сравнява работата си с актьорска професия – и неслучайно:

• използва различни роли;

• подготвя облекло;

• влиза „в образ“.

Въпреки първоначалната тревожност, щом прекрачи прага:

• увереността поема контрол;

• околните рядко поставят под въпрос присъствието му;

• сценарият почти винаги се развива успешно.

ИИ ускорява старите атаки, не ги заменя

Изводът е ясен и тревожен:

• ИИ не създава нови видове атаки – той усилва старите;

• социалното инженерство става по-убедително;

• човешкият фактор остава най-слабото звено.

Организациите, които разчитат само на технологии, но пренебрегват:

• обученията;

• реалистичните симулации;

• културата на съмнение,

ще продължат да бъдат уязвими – независимо колко „модерни“ системи използват.